[发明专利]一种防火墙攻击防御方法

摘要

本发明提供一种防火墙攻击防御方法，其通过将一攻击防范模块应用于已具备基于安全区域的配置管理、报文管理和会话管理等功能的防火墙，实现网络攻击检测功能，精确检测单包攻击、扫描攻击和泛洪攻击。单包攻击具体包括：ICMP重定向攻击、ICMP不可达攻击、IP源站选路选项攻击、路由记录选项攻击、Land攻击、Smurf攻击、Fraggle攻击、WinNuke攻击。扫描攻击具体包括：地址扫描攻击、端口扫描攻击。泛洪攻击包括：TCP SYN Flood攻击、ICMP Flood攻击、UDP Flood攻击。检测到网络攻击后，根据配置采取相应的防范措施，例如丢弃报文、加入黑名单、输出告警日志等。实现TCP代理联动机制下的Safe Reset技术，有效防御TCP SYN Flood攻击。

主权项

1.一种防火墙攻击防御方法，其特征在于：所述防御方法由配置攻击防范策略的方法、单包攻击检测与防范方法、扫描攻击检测与防范方法、泛洪攻击检测与防范方法、SYN洪水攻击检测与防范方法组成；配置攻击防范策略的方法包括以下步骤：接收到配置消息；对配置消息进行解析并提取配置参数，同时对配置参数进行合法性检查；对于不合法的配置显示错误提示信息，对于合法的配置，使新配置的策略应用生效；单包攻击检测与防范方法包括以下步骤：接收报文；根据当前配置的策略检查报文字段，判断报文的合法性；检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；输出告警日志；扫描攻击检测与防范方法包括以下步骤：接收到报文；查询源 IP 地址的新建连接速率，判断是否超过阈值；检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；将攻击者 IP 地址列入黑名单；输出告警日志；泛洪攻击检测与防范包括以下步骤：接收报文；查询目的 IP 地址的新建连接速率，判断是否超过阈值；检测到攻击后，根据当前配置的策略返回报文处理结果为丢弃或放行；接口输出告警日志；SYN洪水攻击检测与防范方法包括以下步骤：接收TCP SYN报文；查询目的 IP 地址的半开连接数和新建连接速率，若超过阈值则检测为 SYN 洪水攻击；检测到攻击后，如果启用了 TCP 代理，则将目的 IP 添加到受保护 IP 地址列表，否则根据当前配置的策略返回报文处理结果为丢弃或放行；输出告警日志。